ניהול הקצאות של מדיניות מערכת הפעלה

אחרי יצירת הקצאה של מדיניות מערכת הפעלה, אפשר לבדוק ולנהל את ההקצאות באמצעות הפעולות הבאות:

• עדכון הקצאות של מדיניות מערכת ההפעלה: שינוי ההגדרות של הקצאת מדיניות מערכת ההפעלה
• תיאור של הקצאות מדיניות של מערכת הפעלה: קבלת פרטים על הקצאת מדיניות ספציפית של מערכת הפעלה
• List OS policy assignments: הצגת רשימה של הקצאות של מדיניות מערכת הפעלה באזור ספציפי
• רשימת תיקונים של הקצאת מדיניות למערכת הפעלה: הצגת רשימה של תיקונים שזמינים להקצאה ספציפית של מדיניות למערכת הפעלה
• מחיקת הקצאה של מדיניות מערכת הפעלה: מחיקת הקצאה ספציפית של מדיניות מערכת הפעלה
• ניפוי באגים בהקצאת מדיניות של מערכת הפעלה: פתרון בעיות בהקצאת מדיניות של מערכת הפעלה

אפשר לנהל את ההקצאות של מדיניות מערכת ההפעלה באמצעות Cloud de Confiance המסוף,‏ Google Cloud CLI או OS Config API.

לפני שמתחילים

• בודקים את המכסות של OS Config.
• אם עדיין לא עשיתם את זה, תצטרכו להגדיר אימות. אימות הוא תהליך שבו מאמתים את הזהות שלכם כדי לקבל גישה לממשקי API ולשירותים של Cloud de Confiance by S3NS . כדי להריץ קוד או דוגמאות מסביבת פיתוח מקומית, אפשר לבצע אימות ל-Compute Engine באחת מהדרכים הבאות:

  צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:

  המסוף

  כשמשתמשים במסוף Cloud de Confiance כדי לגשת לשירותים Cloud de Confiance by S3NS ולממשקי ה-API, לא צריך להגדיר אימות.

  gcloud

  1. מתקינים את ה-CLI של Google Cloud ואז נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

     gcloud init

• הגדרת אזור ותחום כברירת מחדל

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

מתקינים את ה-CLI של Google Cloud ואז נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Cloud de Confiance .

הרשאות

לבעלי פרויקט יש גישה מלאה לניהול הקצאות של מדיניות מערכת הפעלה. לכל שאר המשתמשים, צריך להעניק הרשאות. כדי לנהל הקצאות של מדיניות מערכת הפעלה, אתם יכולים להעניק אחד מהתפקידים הבאים עם הרשאות גרנולריות:

• אדמין של הקצאת מדיניות OS‏ (roles/osconfig.osPolicyAssignmentAdmin). התפקיד הזה כולל הרשאות ליצירה, למחיקה, לעדכון, לקבלת רשימה ולהצגת הקצאות של מדיניות OS.
• ‫OSPolicyAssignment Editor (roles/osconfig.osPolicyAssignmentEditor). מכיל הרשאות לעדכון, לקבלת רשימה ולרשימה של הקצאות של מדיניות מערכת ההפעלה.
• צפייה בהקצאת מדיניות של מערכת הפעלה (roles/osconfig.osPolicyAssignmentViewer). ההרשאות מאפשרות גישת קריאה בלבד כדי לקבל ולרשום הקצאות של מדיניות מערכת הפעלה.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member user:USER_ID@gmail.com \
        --role roles/osconfig.osPolicyAssignmentAdmin

עדכון הקצאות של מדיניות מערכת ההפעלה

כדי לעדכן הקצאה של מדיניות למערכת הפעלה:

1. מעדכנים את קובץ ה-YAML או ה-JSON שבו מוגדרת הקצאת מדיניות מערכת ההפעלה.

   בקשת העדכון תומכת באנונימיזציה של שדות. יכול להיות שתצטרכו לעדכן רק שדות מסוימים בהקצאת מדיניות מערכת ההפעלה, ולהשאיר את שאר השדות ללא שינוי. פקודת העדכון או התיקון משתמשת במסכות שדות כדי לציין ל-API אילו שדות השתנו. בקשת העדכון או התיקון מתעלמת מכל השדות שלא צוינו במסכת השדות, והם נשארים עם הערכים הנוכחיים שלהם. מידע נוסף על מסכות שדות זמין במאמר בנושא FieldMask.

2. מעדכנים את ההקצאה של מדיניות מערכת ההפעלה באמצעות Cloud de Confiance המסוף, Google Cloud CLI או OS Config API.

   כשמעדכנים הקצאה של מדיניות מערכת הפעלה, נוצר פריסה. אתם יכולים לעקוב אחרי ההשקה כדי לראות את התקדמות העדכון. מידע נוסף זמין במאמר קבלת פרטים על השקה.

   המסוף

   1. במסוף Cloud de Confiance , נכנסים לדף OS policies > Assignments.

      כניסה למסוף Cloud de Confiance

   2. בקטע 'הקצאת מדיניות למערכת ההפעלה', לוחצים על פעולה (more_vert) > עריכת ההקצאה ליד ההקצאה שרוצים לערוך.

   3. מבצעים את העדכונים הנדרשים. לדוגמה, אפשר להעלות את קובץ המדיניות המעודכן של מערכת ההפעלה.

   4. לוחצים על הפעלת ההשקה.

   gcloud

   משתמשים בפקודה os-config os-policy-assignments update כדי לעדכן הקצאת מדיניות של מערכת הפעלה.

   gcloud compute os-config os-policy-assignments update OS_POLICY_ASSIGNMENT_ID \
       --location=ZONE \
       --file=FILE
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫OS_POLICY_ASSIGNMENT_ID: השם של הקצאת מדיניות מערכת ההפעלה שרוצים לעדכן
   • ‫ZONE: האזור שבו נמצאת הקצאת מדיניות מערכת ההפעלה

   • ‫FILE: הנתיב המוחלט לקובץ ה-JSON או ה-YAML שמכיל את המפרטים המעודכנים של הקצאת מדיניות מערכת ההפעלה

     אם הקצאת מדיניות מערכת ההפעלה לא קיימת, ואם מציינים את הדגל --allow-missing, כלי VM Manager יוצר את הקצאת מדיניות מערכת ההפעלה עם המזהה והמפרטים שצוינו.

   REST

   ב-API, יוצרים בקשת PATCH אל ה-method‏ projects.locations.osPolicyAssignments.patch.

   PATCH https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID
   
   {
    JSON_OS_POLICY
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: מזהה הפרויקט
   • ‫OS_POLICY_ASSIGNMENT_ID: השם של הקצאת מדיניות מערכת ההפעלה שרוצים לעדכן
   • ‫JSON_OS_POLICY: המפרטים של הקצאת מדיניות מערכת ההפעלה שנוצרו בשלב הקודם. הערך הזה חייב להיות בפורמט JSON. מידע נוסף על הפרמטרים והפורמט זמין במאמר Resource: OSPolicyAssignment.
   • ‫ZONE: האזור שבו נמצאת הקצאת מדיניות מערכת ההפעלה

הצגת הקצאות של מדיניות מערכת ההפעלה

 gcloud compute os-config os-policy-assignments list \
     --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments

תיאור של הקצאת מדיניות למערכת הפעלה

gcloud compute os-config os-policy-assignments describe OS_POLICY_ASSIGNMENT_ID \
     --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID

הצגת גרסאות של הקצאת מדיניות מערכת ההפעלה

gcloud compute os-config os-policy-assignments list-revisions OS_POLICY_ASSIGNMENT_ID \
    --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID:listRevisions

מחיקת הקצאות של מדיניות מערכת ההפעלה

כשמוחקים הקצאה של מדיניות מערכת הפעלה, נוצרת השקה. כדי לראות את התקדמות המחיקה, אפשר לעקוב אחרי ההשקה. מידע נוסף זמין במאמר קבלת פרטים על השקה.

gcloud compute os-config os-policy-assignments delete OS_POLICY_ASSIGNMENT_ID \
    --location=ZONE

DELETE https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID

פתרון בעיות

כדי לפתור בעיות בהקצאת מדיניות של מערכת הפעלה, אפשר לעיין במאמר פתרון בעיות ב-VM Manager.

מה השלב הבא?

• מידע נוסף על כללי המדיניות של מערכת ההפעלה
• יצירת הקצאה של מדיניות מערכת הפעלה